Техническая информация
Отработавшее пользовательское сигма правило:
- d223b46b-5621-4037-88fe-fda32eead684
- ec82e2a5-81ea-4211-a1f8-37a0286df2c2
- edf3485d-dac4-4d50-90e4-b0e5813f7e60
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\dc_9753efb7\web data
- %TEMP%\dc_51d04f44\web data
- %TEMP%\dc_c305a0e0\history
- %TEMP%\dc_c305a0e0\history-journal
- %TEMP%\dc_375dd33a\web data
- %TEMP%\dc_f4f1e2db\web data
- %TEMP%\dc_af5dcaf2\history
- %TEMP%\dc_4a890151\web data
- %TEMP%\dc_501c961e\web data
- %TEMP%\dc_9b564847\history
- %TEMP%\dc_9b564847\history-journal
- %TEMP%\dc_e7740146\places.sqlite
- %TEMP%\dc_e7740146\places.sqlite-shm
- %TEMP%\wupd_55b1f182.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\dc_51d04f44\web data
- %TEMP%\dc_9753efb7\web data
- %TEMP%\dc_c305a0e0\history
- %TEMP%\dc_c305a0e0\history-journal
- %TEMP%\dc_f4f1e2db\web data
- %TEMP%\dc_375dd33a\web data
- %TEMP%\dc_af5dcaf2\history
- %TEMP%\dc_501c961e\web data
- %TEMP%\dc_4a890151\web data
- %TEMP%\dc_9b564847\history
- %TEMP%\dc_9b564847\history-journal
- %TEMP%\dc_e7740146\places.sqlite-shm
- %TEMP%\dc_e7740146\places.sqlite
Сетевая активность
Подключается к
- 'c2.####althmonitor.app':443
- 'ip##pi.com':80
TCP
Запросы HTTP GET
- http://ip##pi.com/json/?fi##############################
Другие
- 'c2.####althmonitor.app':443
UDP
- DNS ASK c2.####althmonitor.app
- DNS ASK ip##pi.com
